«Password1» و یک حساب آزمایشی فراموش شده، لباس‌های ولز را در آب داغ قرار می‌دهند
ICO شبکه های Ogi و Data Cymru را پس از نقض باج افزار که اطلاعات 3300 نفر را که اکثرا کودکان بودند در معرض دید قرار داد، توبیخ می کند.
یک حساب آزمایشی محافظت شده توسط "Password1" به یک مزاحم کمک کرد تا داده های شخصی مربوط به 3300 نفر، اکثرا کودکان، را در یک حمله باج افزار بدزدد که برای دو سازمان ولزی مورد سرزنش نظارتی قرار گرفت.
دفتر کمیسیون اطلاعات (ICO) به جای جریمه برای Ogi Networks Limited (ONL) و واحد داده دولت محلی - ولز، که با نام Data Cymru نیز شناخته می شود، توبیخ صادر کرد.
طبق گزارش ICO، altnet ONL زیرساخت سرور و اتصال، مجوز و پشتیبانی را برای Data Cymru فراهم کرده است که به نهادهای عمومی در سراسر ولز کمک می کند تا از داده ها استفاده موثری کنند.
در 1 نوامبر 2024، Data Cymru پس از سوء استفاده از یک حساب کاربری آزمایشی به نام Test2 برای نفوذ به شبکه و رمزگذاری 182.7 گیگابایت داده موجود در یک سرور فایل و یک سرور پایگاه داده داخلی، با یک حمله باج افزار مواجه شد.
ICO روز سه‌شنبه در توبیخ ONL [PDF] گفت: «پیش از استقرار باج‌افزار، عامل تهدید ۴۲ گیگابایت داده را از یک کنترل‌کننده دامنه اصلی، یک سرور فایل و یک سرور SQL استخراج کرد.
ONL به ICO گفت که حساب آزمایشی را در 13 ژانویه 2012 در طول پروژه اولیه خود برای Data Cymru ایجاد کرده است.
ICO گفت: «ONL تأیید کرد که ایجاد حساب «Test2» احتمالا برای آزمایش دسترسی به حساب کاربر قبل از مهاجرت کاربران «واقعی» به خدمات آن بوده است. هنگامی که آن را ایجاد کرد، به حساب "Test2" رمز عبور "Password1" داده شد."
ICO به ابزار قدرت رمز عبور Bitwarden اشاره کرد که "Password1" را "بسیار ضعیف" ارزیابی کرد و زمان شکستن را کمتر از یک ثانیه تخمین زد.
رگولاتور افزود: "حساب‌های مدیر محلی در سه سیستم آسیب‌دیده همگی رمز عبور یکسانی داشتند. این بدان معنی است که پس از نقض یک سیستم، هش‌های حساب محلی می‌توانست جمع‌آوری شود و توسط عامل تهدید برای احراز هویت دسترسی به سیستم‌های دیگر در شبکه Data Cymru مورد استفاده قرار گیرد."
ONL تأیید کرد که هیچ بازبینی حساب‌های سرپرست محلی را پس از استقرار اولیه آن‌ها انجام نداده است. این بدان معناست که این حساب‌ها بدون توجه به استفاده از آن‌ها فعال باقی می‌مانند و به استفاده از همان رمزهای عبور پیش‌فرض در زمان ایجادشان در ژانویه 2012، به عنوان بخشی از پروژه اولیه ONL با Data Cymru، برای بیش از 12.5 سال ادامه می‌دهند.»
سازمان دیده بان داده، ONL را تحت ماده 32 GDPR بریتانیا مورد توبیخ قرار داد، زیرا نتوانست «اقدامات فنی و سازمانی مناسب» را برای اطمینان از ایمن بودن سیستم‌ها و سرویس‌های پردازش اعمال کند، و به طور منظم آن اقدامات را ارزیابی یا ارزیابی نکرد. دریافت که ONL هیچ روش حسابرسی برای بررسی حساب‌های کاربری در Active Directory Data Cymru ندارد.
توبیخ جداگانه ICO از Data Cymru [PDF] همچنین به جزئیات نقص در ترتیبات امنیتی آن پرداخت.
دیوید دودسون، رئیس تحقیقات ICO می‌گوید: «Password1 رمز عبور مناسبی نیست، دری به روی بازیگران شرور باز است. «این حادثه نشان می‌دهد که چگونه یک رمز عبور ضعیف، متصل به حسابی که دیگر مورد نیاز نبود، می‌تواند درها را به روی یک حمله سایبری جدی باز بگذارد که می‌تواند هزاران نفر را تحت تأثیر قرار دهد.
"مسئولیت این خرابی‌ها به تنهایی بر عهده یک سازمان نبود. ONL حساب آزمایشی را ایجاد کرد در حالی که Data Cymru کنترل کلی شبکه خود را حفظ کرد، از جمله توانایی دستور دادن به ONL برای ایجاد یا حذف حساب‌ها. هیچ یک از این دو اقدام به اندازه کافی واضح و موثر برای اطمینان از شناسایی و حذف حساب‌های قدیمی به طور معمول انجام نداده بود." ®
متن اصلی (انگلیسی)
'Password1' and a forgotten test account land Welsh outfits in hot water
ICO reprimands Ogi Networks and Data Cymru after ransomware breach exposes info of 3,300 people, mostly children